A5M2でAWSのDBサーバーに接続できない（AWSの構成は「Webサーバー（踏み台）→DBサーバー」）

Question

事象

AWSでWebサーバー、DBサーバーを構築をしました。
Webサーバーをパブリックサブネットへ、DBサーバーをプライベートサブネットへ構築し、DBサーバーへのアクセスはWebサーバーを踏み台にしてのアクセスとしています。
sshで踏み台サーバー → DBサーバーへのアクセスまでは確認できたのですが、A5M2を使ってのトンネル経由の接続ができません。

詳細

■ローカル端末
Windows 10 Pro

■A5M2で接続する際に出るエラー

Host '[Webサーバーのプライベート DNS]' is not allowed to connect to this MySQL server

■AWSの大まかな構成
※参考書籍：Amazon Web Services 基礎からのネットワーク&サーバー構築 改訂版

・パブリックサブネット内にWebサーバーを構築

<インバウンドルールの設定>
　　・HTTP | ポート80 | 0.0.0.0/0
　　・SSH | ポート22 | 0.0.0.0/0

・プライベートサブネット内にDBサーバーを構築

　<インバウンドルールの設定>
　　・MYSQL/Aurora | ポート3306 | 0.0.0.0/0
　　・SSH | ポート22 | 0.0.0.0/0
　<自動割り当てパブリック>
　　・無効化（インターネットから接続させないため）

・NATゲートウェイでプライベートサブネットからインターネットを許可

■A5M2の接続設定

<「基本」タブ>
　・ホスト名：DBサーバーのプライベートDNS
　・ユーザーID：MySQLのID
　・パスワード：MySQLのパスワード
　・データベース：mysql

<「SSH2トンネル」タブ>
　・SSH2ホスト名：WebサーバーのパブリックDNS
　・ユーザーID：Amazon Linuxデフォルトユーザー名
　・秘密鍵：Webサーバーのインスタンス作成時にDLしたキーペア

質問

sshでの踏み台経由接続はできており、データベース作成もできました。
そこでSQLクライアントA5M2を使ってDB操作をしようと思い、その接続で詰まっています。

エラーメッセージを翻訳して「ホスト '[WebサーバーのプライベートDNS]'はこのMySQLサーバーへの接続を許可されていません」と、意味は分かったのですが、原因がわかりません。

各設定内容等で何か誤りはありますでしょうか。
サーバーインフラ関連初学者で一つ一つ調べながらなので、説明不足な点があるかもしれませんが、よろしくお願い致します。

Answer 1

接続できました。
どうやらMySQLをインストールした初期状態ではlocalhostからしか接続が許可されていないようでした。
試しに新たにユーザーを作成、外部からの接続を許可するよう権限付与をして、再度A5M2から接続を試みると接続できました。

TaroToyotomiさん

連日のやりとりありがとうございました。
色々と勉強になりました。
またご機会ございましたらよろしくお願い致します。

Answer 2

A5M2の設定が間違っていると思います。SSHサーバが動いているのはwebサーバですよね？

リンク先のケース２（SSHサーバーとMySQLサーバーが異なるサーバーである場合）が参考になるのでは。
https://a5m2.mmatsubara.com/tips/mysql_sshtunnel/

Comments

[Orlofsky]

URLは https://teratail.com/help/question-tips#questionTips3-7 の [リンク] で [リンク先のタイトル](http...) に修正してください。

[tsad]

> TaroToyotomi
ご回答ありがとうございます。
返信遅くなり申し訳ありません。
おっしゃる通りで、リンク先のケース２の構成です。

「■A5M2の接続設定」の内容を少し補足したのですが、ご指摘いただきましたケース２を見比べて、以下のように解釈しています。

■<「基本」タブ>の設定内容
server2、つまりDBサーバーの情報を設定。
具体的にはDBサーバーのホスト名、ポート番号、MySQLのユーザーID、パスワード。

■<「SSH2トンネル」タブ>の設定内容
server1なのでWebサーバーのホスト名、ユーザーID、パスワードは鍵認証なのでローカルにDLした鍵のパス。

以上のように設定しています。
DBサーバーのホスト名は、インターネットから見えなくしている(プライベートサブネット)ので、プライベート DNS、またはプライベートIPしか設定する情報がないかと思っています。
一方Webサーバーの方はパブリック DNS、ポート、ユーザー情報等を設定している次第です。

上記の内容で誤りがありますでしょうか。
もし可能でしたら、具体的に間違っている箇所、また正しくは何をどこに設定すべきかをご指摘いただけますと助かります。

大変恐縮ですが、どうぞよろしくお願い致します。

[TaroToyotomi]

とりあえず、server1にはWEBサーバーのグローバルIP、server2にはDBサーバのプライベートIPを入れてみてはどうでしょう？

[tsad]

ご指摘の「server1にWEBサーバーのグローバルIP、server2にDBサーバのプライベートIP」も試しているのですが同じ結果です。
たびたびすみません。。

[TaroToyotomi]

プライベート鍵の保存形式はOpenSSHの形式ですか？PuTTY形式の場合はPuTTYに付属するPLINK.exeをSSH接続に指定しないとならないようです。
https://a5m2.mmatsubara.com/help/

[tsad]

返信遅くなってしまい申し訳ありませんでした。
ご指摘の件、確認して調べてみました。
PLINK.exeを指定してみたのですが、結果は同じでした。
試しにMySQL workbenchでもトンネル接続を試してみたのですが、同じエラー内容で接続できませんでした。
teratermでの踏み台経由は接続できているのに何故「WebサーバーはMySQLサーバーの接続が許可されていない」となるのかがわかりません。。